漏洞描述
Roundcube是一款基于浏览器的IMAP客户端（邮件客户端），它支持地址薄管理、信息搜索、拼写检查等。 Roundcube steps/mail/sendmail.inc存在任意代码执行漏洞。由于程序未能限制使用发件命令行上的自定义信封地址。远程攻击者可通过发送特制的HTTP请求利用该漏洞执行任意代码。
影响产品
修复建议
建议关注厂商安全公告，及时升级至已修复版本，并结合实际资产暴露情况采取缓解措施。
参考链接
www.openwall.comhttp://www.openwall.com/lists/oss-security/2016/12/08/10↗www.securityfocus.comhttp://www.securityfocus.com/bid/94858↗blog.ripstech.comhttps://blog.ripstech.com/2016/roundcube-command-execution-via-email/↗roundcube.nethttps://roundcube.net/news/2016/11/28/updates-1.2.3-and-1.1.7-released↗security.gentoo.orghttps://security.gentoo.org/glsa/201612-44↗